支付寶曝重大安全漏洞：熟人驗證繞過密碼登入、免密支付，官方緊急下線修復

事件時間線

• 2017-01-10 深夜：微博用戶曝光支付寶登入漏洞
• 2017-01-10 上午：支付寶回應已獲悉，熟人驗證選項已下線，安全團隊跟進排查
• 後續：有用戶反饋在曾登入過的設備上仍可看到熟人驗證入口，漏洞未完全清除

漏洞利用鏈（已失效）

1. 打開支付寶登入頁 → 輸入目標賬號 → 點擊「忘記密碼」
2. 選擇「無法接收短信」 → 進入多重驗證選項頁
3. 選擇「熟人驗證」/「朋友協助」 → 輸入受害者好友相關資訊（姓名、手機尾號等）
4. 驗證通過 → 直接重置密碼 → 登入賬號 → 擁有完整權限，含免密支付

風險評估

• 熟人成功率極高：曝料者稱熟人 100% 可登入，陌生人約 20%
• 繞過核心防線：無需短信驗證碼、支付密碼、指紋/臉部識別
• 影響範圍：全量用戶，涉及資金、隱私、信用體系

官方應對與修復

• 緊急下線「熟人驗證」入口，切斷攻擊路徑
• 加強設備指紋、行為分析、風控模型識別異常登入
• 推廣「臉部識別+大額支付驗證」多因子認證體系
• 建立漏洞獎勵計劃（SRC），鼓勵白帽子負責任披露

用戶自護指南

1. 開啟「登入保護」：設定 → 賬號安全 → 登入保護（異地登入需短信/推送確認）
2. 關閉不必要的「免密支付」：設定 → 支付設定 → 免密支付 → 關閉或降低額度
3. 定期檢查「授權管理」：撤銷長期未用的第三方應用授權
4. 綁定生物識別：臉部/指紋優先於密碼
5. 收到異常登入提醒立即修改密碼、凍結賬戶（95188）

行業啟示

「社交關係驗證」看似便民，實則引入社交工程學攻擊面。金融級應用應堅持：知識因子（密碼）+ 擁有因子（手機/設備）+ 生物因子（指紋/臉部）多因子認證（MFA），任何單一因子重置流程均須經過風控引擎實時評分。